VLAN（タグVLAN）とは？

VLAN（タグVLAN）の意味

1台のスイッチや同一の物理配線の上に、論理的に分離した複数のLANを構成する技術。ポート単位で割り当てる方式と、フレームに識別子を付けて1本の回線に複数VLANを相乗りさせるタグVLANがある。部門やシステムごとに通信を分離し、影響範囲と障害範囲を限定できる。

VLAN（タグVLAN）の具体例

本番系・検証系・管理系をVLANで分け、スイッチ間はタグVLANの1本にまとめて配線数を減らす。VLAN間の通信はルータやレイヤ3スイッチを経由させ、そこにアクセス制御を集約して検証系から本番系への接続を遮断する。

VLAN（タグVLAN）は試験でどう引っ掛けられる？

VLANを分けただけでは通信は完全には守られない。VLAN間ルーティングを許すと通り抜けるため、制御はルータやファイアウォール側で行う。また同一VLAN内はブロードキャストが届くので、分割はその抑制にも効く。

VLAN（タグVLAN）と関連する用語

• OSI基本参照モデルと中継装置
• 多層防御とゼロトラスト
• プライベートIPアドレスとアドレス設計

VLAN（タグVLAN）が出た過去問

• 次に示すような組織の業務環境において、特定のIPセグメントのIPアドレスを幹部のPCに動的に割り当て、一部のサーバへのアクセスをそのIPセグメントからだけ許可す…

  正解：認証VLAN

  要点：認証VLANは認証結果に応じて所属VLANを動的に決める

  認証VLANは、端末やユーザの認証結果に応じて、接続したポートを所属させるVLANを動的に切り替える仕組みである。フリーアドレスでどの席に座っても、幹部として認証されれば所定のIPセグメントに割り当てられるため、そのセグメントからのみサーバへのアクセスを許可すれば要件を満たせる。

  出典：令和5年度 春期 応用情報技術者試験 午前 問45（IPA）

• VLAN機能をもった1台のレイヤー3スイッチに40台のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けたとき、スイッチのポートをセグメ…

  正解：スイッチが、PCからのブロードキャストパケットの到達範囲を制限するので、アドレス情報の不要な流出のリスクを低減できる。

  要点：VLANはブロードキャストドメインを分割し情報の流出範囲を狭める

  VLANでポートをグループ化すると、それぞれが独立したブロードキャストドメインになる。ARP要求などのブロードキャストが他のセグメントへ届かなくなるため、機器のIPアドレスやMACアドレスといった情報が不必要に他セグメントへ流れるリスクを下げられる。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問45（IPA）